Le service Cloud VPN est compatible avec les algorithmes de chiffrement et les paramètres de configuration ci-dessous pour les appareils VPN pairs ou les services VPN. Il négocie automatiquement la connexion à condition que le côté pair utilise un paramètre d'algorithme de chiffrement IKE (Internet Key Exchange) compatible.
Pour obtenir des instructions de configuration, consultez la page Configurer votre passerelle VPN de pairs.
Cloud VPN fonctionne en mode tunnel ESP IPSec.
Les algorithmes de chiffrement IKE suivants sont compatibles avec les VPN classiques et les VPN haute disponibilité.
La compatibilité des adresses IPv6 avec les interfaces de passerelle VPN haute disponibilité est disponible en version bêta.
Ordre de proposition
Cloud VPN peut agir en tant qu'initiateur ou répondeur pour les requêtes IKE en fonction de l'origine du trafic lorsqu'une nouvelle association de sécurité est nécessaire.
Lorsqu'il établit une connexion VPN, Cloud VPN propose les algorithmes dans l'ordre indiqué dans les tables d'algorithmes de chiffrement compatibles pour chaque rôle de chiffrement. Le côté pair recevant la proposition sélectionne un algorithme.
Si le côté pair initialise la connexion, Cloud VPN sélectionne un algorithme de chiffrement de la proposition en utilisant le même ordre que celui affiché dans le tableau pour chaque rôle de chiffrement.
Selon l'initiateur ou le répondeur, l'algorithme de chiffrement sélectionné peut être différent. Par exemple, l'algorithme de chiffrement sélectionné peut même changer au fil du temps, à mesure que de nouvelles associations de sécurité (SA) sont créées lors de la rotation des clés. Étant donné qu'une modification de la sélection de chiffrement peut avoir un impact sur les caractéristiques importantes du tunnel, comme les performances ou la MTU, assurez-vous que votre sélection de chiffrement est stable. Pour en savoir plus sur les MTU, consultez la section Considérations concernant les MTU.
Pour éviter les modifications fréquentes dans le processus de sélection d'algorithmes de chiffrement, configurez votre passerelle VPN de pairs de sorte qu'elle ne propose qu'un algorithme de chiffrement pour chaque rôle de chiffrement. Cet algorithme de chiffrement doit être compatible avec Cloud VPN et avec votre passerelle VPN de pairs. Ne fournissez pas de liste d'algorithmes de chiffrement pour chaque rôle de chiffrement. Cette bonne pratique garantit que les deux côtés de votre tunnel Cloud VPN sélectionnent toujours le même algorithme de chiffrement IKE lors de la négociation IKE.
Pour les paires de tunnels VPN haute disponibilité, configurez les deux tunnels VPN haute disponibilité sur votre passerelle VPN de pairs pour qu'ils utilisent les mêmes valeurs de chiffrement IKE et de phase 2.
Fragmentation IKE
Cloud VPN est compatible avec la fragmentation IKE, comme décrit par le protocole de fragmentation IKEv2 (RFC 7383).
Pour de meilleurs résultats, Google vous recommande d'activer la fragmentation IKE, si elle n'est pas déjà activée, sur votre appareil VPN pair.
Si la fragmentation IKE n'est pas activée, les paquets IKE de Google Cloud vers l'appareil VPN pair dont la taille est supérieure à la MTU de passerelle sont supprimés.
Certains messages IKE ne peuvent pas être fragmentés, dont les messages suivants :
IKE_SA_INITIKE_SESSION_RESUME
Pour en savoir plus, consultez la section Limites de la RFC 7383.
Tables d'algorithme de chiffrement compatibles
Les sections suivantes répertorient les algorithmes de chiffrement compatibles avec les VPN haute disponibilité.
Algorithmes de chiffrement IKEv2 avec AEAD
Les algorithmes de chiffrement suivants utilisent le chiffrement authentifié avec les données associées (AEAD).
Phase 1
| Rôle de l'algorithme de chiffrement | Algorithme de chiffrement | Remarques |
|---|---|---|
| Chiffrement et intégrité |
|
Dans cette liste, le premier nombre correspond à la taille du paramètre ICV en octets et le second à la longueur de la clé en bits. Dans certains documents, le paramètre ICV (le premier nombre) peut être exprimé en bits plutôt qu'en octets (8 octets deviennent 64 bits, 12 octets deviennent 96 bits et 16 octets deviennent 128 bits). |
| Fonction pseudo-aléatoire (PRF, Pseudo-Random Function) |
|
De nombreux appareils ne requièrent pas de paramètre PRF explicite. |
| Diffie-Hellman (DH) |
|
* L'algorithme de chiffrement modp_8192 n'est pas compatible avec les passerelles VPN haute disponibilité avec des interfaces IPv6 (gatewayIpVersion=IPv6). |
| Durée de vie de la phase 1 | 36 000 secondes (10 heures) |
Phase 2
| Rôle de l'algorithme de chiffrement | Algorithme de chiffrement | Remarques |
|---|---|---|
| Chiffrement et intégrité |
|
Notez que le premier nombre de chaque algorithme correspond à la taille du paramètre ICV en octets et le second à la longueur de la clé en bits. Dans certains documents, le paramètre ICV (le premier nombre) peut être exprimé en bits plutôt qu'en octets (8 octets deviennent 64 bits, 12 octets deviennent 96 bits et 16 octets deviennent 128 bits). |
| Algorithme PFS (obligatoire) |
|
* L'algorithme de chiffrement modp_8192 n'est pas compatible avec les passerelles VPN haute disponibilité avec des interfaces IPv6 (gatewayIpVersion=IPv6). |
| Diffie-Hellman (DH) | Reportez-vous à la phase 1. | Si votre passerelle VPN nécessite des paramètres DH pour la phase 2, copiez les paramètres utilisés pendant la phase 1. |
| Durée de vie de la phase 2 | 10 800 secondes (3 heures) |
Algorithmes de chiffrement IKEv2 sans AEAD
Phase 1
| Rôle de l'algorithme de chiffrement | Algorithme de chiffrement | Remarques |
|---|---|---|
| Chiffrement |
|
|
| Intégrité |
|
Dans la documentation de votre passerelle VPN sur site, l'algorithme peut être désigné par un nom légèrement différent. Par exemple, |
| Fonction pseudo-aléatoire (PRF, Pseudo-Random Function) |
|
De nombreux appareils ne requièrent pas de paramètre PRF explicite. |
| Diffie-Hellman (DH) |
|
* L'algorithme de chiffrement modp_8192 n'est pas compatible avec les passerelles VPN haute disponibilité avec des interfaces IPv6 (gatewayIpVersion=IPv6). |
| Durée de vie de la phase 1 | 36 000 secondes (10 heures) |
Phase 2
| Rôle de l'algorithme de chiffrement | Algorithme de chiffrement | Remarques |
|---|---|---|
| Chiffrement |
|
|
| Intégrité |
|
Dans la documentation de votre passerelle VPN sur site, l'algorithme peut être désigné par un nom légèrement différent. Par exemple, |
| Algorithme PFS (obligatoire) |
|
* L'algorithme de chiffrement modp_8192 n'est pas compatible avec les passerelles VPN haute disponibilité avec des interfaces IPv6 (gatewayIpVersion=IPv6). |
| Diffie-Hellman (DH) | Reportez-vous à la phase 1. | Si votre passerelle VPN nécessite des paramètres DH pour la phase 2, copiez les paramètres utilisés pendant la phase 1. |
| Durée de vie de la phase 2 | 10 800 secondes (3 heures) |
Algorithmes de chiffrement IKEv1
Phase 1
| Rôle de l'algorithme de chiffrement | Algorithme de chiffrement |
|---|---|
| Chiffrement | AES-CBC-128 |
| Intégrité | HMAC-SHA1-96 |
| Fonction pseudo-aléatoire (PRF, Pseudo-Random Function)* | PRF-SHA1-96 |
| Diffie-Hellman (DH) | modp_1024 (groupe 2) |
| Durée de vie de la phase 1 | 36 600 secondes (10 heures, 10 minutes) |
*Pour en savoir plus sur les fonctions PRF dans IKEv1, consultez la norme RFC 2409.
Phase 2
| Rôle de l'algorithme de chiffrement | Algorithme de chiffrement |
|---|---|
| Chiffrement | AES-CBC-128 |
| Intégrité | HMAC-SHA1-96 |
| Algorithme PFS (obligatoire) | modp_1024 (groupe 2) |
| Diffie-Hellman (DH) | Si vous devez spécifier un paramètre DH pour votre passerelle VPN, copiez le paramètre utilisé pendant la phase 1. |
| Durée de vie de la phase 2 | 10 800 secondes (3 heures) |
Étape suivante
- Pour en savoir plus sur les concepts de base de Cloud VPN, consultez la présentation de Cloud VPN.
- Pour vous aider à résoudre les problèmes courants que vous pouvez rencontrer lors de l'utilisation de Cloud VPN, consultez la page Dépannage.